sparkle-design-cli 2.0.7-beta.9 → 2.0.7-rc.3

package/lib/setup.js

@@ -3,6 +3,7 @@ import path from 'path';
 import { spawnSync } from 'child_process';
 import { generateCSS } from './generate-css.js';
 import { GLOBALS_CSS_CANDIDATES } from './constants.js';
+import { isViteProject } from './font-manager.js';
 
 // デフォルトの sparkle.config.json テンプレート
 // en: Default sparkle.config.json template
@@ -84,8 +85,19 @@ function ensureDir(filePath) {
   fs.mkdirSync(path.dirname(filePath), { recursive: true });
 }
 
+// `__proto__` / `constructor` / `prototype` を含む JSON を読み込んだ後、
+// 下流の `Object.assign(_.merge(...))` 等でプロトタイプ汚染が発生する可能性
+// がある（本プロセス内の spread は安全だが、書き戻し後に consumer の agent
+// や 3rd-party ツールに値が流れる）。reviser で unsafe key を drop する。
+// en: Strip known prototype-pollution keys when parsing JSON so downstream
+// consumers that use `Object.assign`/merge don't inherit attacker-controlled
+// prototype entries.
+const POLLUTION_KEYS = new Set(['__proto__', 'constructor', 'prototype']);
 function readJson(filePath) {
-  return JSON.parse(fs.readFileSync(filePath, 'utf8'));
+  return JSON.parse(fs.readFileSync(filePath, 'utf8'), (key, value) => {
+    if (POLLUTION_KEYS.has(key)) return undefined;
+    return value;
+  });
 }
 
 function writeJson(filePath, value) {
@@ -119,7 +131,12 @@ function normalizePath(cwd, inputPath, label, { checkParentOnly = false } = {})
 
   const normalized = path.posix.normalize(trimmed.replace(/\\/g, '/'));
 
-  if (!checkParentOnly && (normalized === '.' || normalized === '')) {
+  // `.` は target にも instructions-path にも適さない。`--instructions-path .`
+  // のような誤入力を親 dir チェックが通したあと EISDIR で落ちる、といった分かり
+  // にくい失敗を回避するため、ここで一貫して empty 扱いにする。
+  // en: Treat `.` as empty regardless of checkParentOnly to avoid confusing
+  // downstream EISDIR failures.
+  if (normalized === '.' || normalized === '') {
     throw new Error(`${label} is empty`);
   }
 
@@ -203,9 +220,9 @@ function buildInstructionBlock(target, assistant) {
     '  - Sparkle fonts (Google Fonts preconnect + Material Symbols + the configured pro/mono fonts) must be present in the document `<head>`: React layouts via `<SparkleHead />` placed inside `<head>` in the root layout, Vite projects via the managed `<!-- sparkle-design-cli:fonts:start -->` … `end` block in `index.html`.',
     '  - Do **not** hand-define `--color-primary-*` or other Sparkle tokens as fallbacks when they look missing. Those come from `sparkle-design.css`; missing values mean the `@import` path is wrong (e.g. `./sparkle-design.css` used when the file lives under `./app/`). Fix the import path, do not duplicate the tokens.',
     '  - If you detect any of the above drifted, re-run `npx --yes sparkle-design-cli generate` before hand-editing. The CLI restores the canonical state (correct relative paths, `@source` placement, `index.html` injection).',
-    '- **Required**: After creating or modifying any UI component, run `lint:sparkle` before finishing. This catches Sparkle Design anti-patterns.',
+    '- **Required**: After creating or modifying any UI component, run `lint:sparkle` before finishing. This catches Sparkle Design anti-patterns. To opt out a specific line from a rule when the Sparkle token does not map cleanly (e.g. sub-12px font sizes for `tailwind-typography`), add `// sparkle-disable-line <rule-id>` on the same line or `// sparkle-disable-next-line <rule-id>` on the line above — but use it sparingly and only when the migration would actually break the design.',
     `- For AI review, prefer \`lint:sparkle:json\` or run \`npx --yes sparkle-design-cli check ${target} --format json\` directly.`,
-    '- You must inspect every entry in both `findings` and `manualReviewReminders` — the reminders flag judgment calls (Badge vs Tag, etc.) that the linter cannot detect.',
+    '- You must inspect every entry in both `findings` and `manualReviewReminders`. For each entry in `manualReviewReminders`, **echo the reminder ID in your final reply together with a short review note** (e.g. `[badge-tag-semantics] reviewed — Badge is used only for counts, so the usage is fine.`). Silence on a reminder means it was skipped; always state at least a one-line judgment per ID. This is not blocked by the Stop hook (reminders are judgment calls), but reviewers / humans rely on the explicit acknowledgment to trust that each item was actually considered.',
     BLOCK_END,
   ].join('\n');
 }
@@ -215,7 +232,21 @@ function updateInstructionFile(filePath, block) {
   const current = exists ? fs.readFileSync(filePath, 'utf8') : '';
 
   if (current.includes(BLOCK_START) && current.includes(BLOCK_END)) {
-    const next = current.replace(new RegExp(`${BLOCK_START}[\\s\\S]*?${BLOCK_END}`), block);
+    // 2 組以上の managed block が残っている場合は `/g` で全部置き換えた上で
+    // warn を出す。ユーザーが手動で block をコピー/ペーストしたケースで、
+    // 従来の非 /g 置換だと 1 組目しか更新されず古い block が残って AI が
+    // 混乱する silent drift の原因になっていた。
+    // en: Replace every managed block occurrence (not just the first).
+    const markerCount = (current.match(new RegExp(BLOCK_START, 'g')) || []).length;
+    if (markerCount > 1) {
+      console.warn(
+        `⚠️  ${filePath} に Sparkle Design Guard ブロックが ${markerCount} 個見つかりました。すべて最新版で置き換えます（手動でコピーした古い block が残っている可能性があります）。`
+      );
+    }
+    const next = current.replace(
+      new RegExp(`${BLOCK_START}[\\s\\S]*?${BLOCK_END}`, 'g'),
+      block
+    );
     return { changed: next !== current, content: next, existed: exists };
   }
 
@@ -329,26 +360,28 @@ function ensurePackagesInstalled(
   console.log(`📦 ${packageManager} ${args.join(' ')}`);
   const result = spawnSync(packageManager, args, { cwd, stdio: 'inherit' });
   if (result.status !== 0) {
-    throw new Error(`Failed to install packages via ${packageManager}: ${missing.join(', ')}`);
+    // 失敗の原因を呼び出し側やログに残せるよう exit status / signal / spawn
+    // error を具体的に示す。以前は "Failed to install ..." だけで pm のログ
+    // 遡及が必要だった。
+    // en: Include the exit code / signal / spawn error so users don't need
+    // to dig back through the pm log to see what went wrong.
+    const details = [];
+    if (typeof result.status === 'number') details.push(`exit ${result.status}`);
+    if (result.signal) details.push(`signal ${result.signal}`);
+    if (result.error) details.push(`spawn error: ${result.error.code ?? result.error.message}`);
+    const suffix = details.length > 0 ? ` (${details.join(', ')})` : '';
+    throw new Error(
+      `Failed to install packages via ${packageManager}${suffix}: ${missing.join(', ')}`
+    );
   }
 
   return { ran: true, reason: 'installed', packages: missing, packageManager, dev };
 }
 
-// Vite の設定ファイル候補（プロジェクト種別の判定に使う）
-// en: Vite config files used to detect a Vite project
-const VITE_CONFIG_FILES = [
-  'vite.config.ts',
-  'vite.config.js',
-  'vite.config.mjs',
-  'vite.config.cjs',
-  'vite.config.mts',
-  'vite.config.cts',
-];
-
-function isViteProject(cwd) {
-  return VITE_CONFIG_FILES.some((name) => fs.existsSync(path.join(cwd, name)));
-}
+// Vite 判定は font-manager.js の isViteProject を再利用する。以前はここに
+// 同じ配列と関数が定義されていて drift の危険があった。constants.js の
+// VITE_CONFIG_FILES を single source of truth として共通化。
+// en: Reuse isViteProject from font-manager.js (backed by constants).
 
 /**
  * エントリポイント CSS の新規作成先を決定する。
@@ -532,6 +565,16 @@ function loadHookJson(filePath, label) {
   try {
     return { existed: true, config: readJson(filePath) };
   } catch (error) {
+    // EACCES / EPERM 等の権限系は「不正な JSON」ではないので文言を分ける。
+    // 以前は全エラーを「不正な JSON です」として扱い、ユーザーが理由を誤認
+    // するケースがあった。
+    // en: Differentiate permission errors from actual JSON syntax errors to
+    // avoid pointing the user at the wrong fix.
+    if (error.code === 'EACCES' || error.code === 'EPERM') {
+      throw new Error(
+        `${label} の読み込み権限がありません (${error.code})。ファイルの権限を確認してから再実行してください。`
+      );
+    }
     throw new Error(
       `${label} が不正な JSON です (${error.message})。修正してから再実行してください。`
     );
@@ -563,7 +606,15 @@ function detectClaudeSessionRootMismatch(cwd) {
     const resolvedCwd = fs.realpathSync(path.resolve(cwd));
     if (resolvedSession === resolvedCwd) return null;
     return { sessionDir: resolvedSession, cwd: resolvedCwd };
-  } catch {
+  } catch (error) {
+    // `CLAUDE_PROJECT_DIR` に壊れた path が入っている / realpath 解決に失敗した
+    // 等はユーザーの Claude Code 環境側の問題。silent に null を返すと「hook
+    // が効かない」状況を見落とすので、debug 価値として warn を出す。
+    // en: Surface realpath failures so broken CLAUDE_PROJECT_DIR values don't
+    // silently hide a hook-not-firing situation.
+    console.warn(
+      `⚠️  CLAUDE_PROJECT_DIR (${sessionDir}) の解決に失敗したため Claude session root 判定をスキップします (${error.code ?? error.message})`
+    );
     return null;
   }
 }
@@ -760,12 +811,27 @@ function runGenerate({ skipGenerate, dryRun, strict }) {
     const result = generateCSS(null, null, null, { strict: Boolean(strict) });
     return { skipped: false, ran: true, globalsResult: result?.globalsResult };
   } catch (error) {
-    // strict モード、または sparkle.config.json の `globals-path` typo などの
-    // 明示指定 not-found は、非 strict でもユーザーが必ず気付くべきなので
-    // 再 throw する（#33 の挙動を setup 経由でも保つ）。
-    // en: Always re-throw explicit --globals-path typos so `setup` surfaces
-    // them via exit code, matching the behaviour of `generate` directly.
-    if (strict || error.code === 'E_EXPLICIT_GLOBALS_PATH_NOT_FOUND') {
+    // 以下の code はユーザーが必ず気付くべき silent drop 系なので、非 strict
+    // でも常に再 throw して exit 1 に昇格させる:
+    //   - E_EXPLICIT_GLOBALS_PATH_NOT_FOUND: sparkle.config.json の
+    //     `extend.globals-path` typo
+    //   - E_EXTEND_FILE_READ_FAILED / _PARSE_FAILED / _INVALID_SHAPE: 2.0.7
+    //     以降は `extend` ファイルの読み込み / parse 失敗を silent fallback
+    //     しない
+    // en: Always propagate these codes even without --strict so silent
+    // misconfigurations become visible.
+    const alwaysThrowCodes = new Set([
+      'E_EXPLICIT_GLOBALS_PATH_NOT_FOUND',
+      'E_EXTEND_FILE_READ_FAILED',
+      'E_EXTEND_FILE_PARSE_FAILED',
+      'E_EXTEND_FILE_INVALID_SHAPE',
+      'E_TAILWIND_IMPORT_PREPEND_FAILED',
+      'E_UNSAFE_RELATIVE_PATH',
+      'E_UNSAFE_FONT_FAMILY',
+      'E_UNSAFE_FONT_WEIGHTS',
+      'E_UNSAFE_PACKAGE_NAME',
+    ]);
+    if (strict || alwaysThrowCodes.has(error.code)) {
       throw error;
     }
     console.warn(`⚠️  generate 実行をスキップしました: ${error.message}`);
@@ -850,7 +916,18 @@ export function setupAssistant(options = {}) {
           existed: hook.existed,
           reason: hook.reason,
           featureFlagNote: hook.featureFlagNote ?? null,
-          sessionRootMismatch: hook.sessionRootMismatch ?? null,
+          // summary は stdout に流れるため CI ログ等に残り得る。絶対パスを
+          // そのまま残すと内部プロジェクトツリーやホスト名が漏れるので、
+          // mismatch の有無（boolean）と cwd 相対 path に絞って伝える。
+          // 詳細な絶対パスは stderr の post-setup reminder 側で十分。
+          // en: Avoid leaking absolute session / cwd paths via stdout summary.
+          sessionRootMismatch: hook.sessionRootMismatch
+            ? {
+                detected: true,
+                sessionDir: path.relative(cwd, hook.sessionRootMismatch.sessionDir) ||
+                  '.',
+              }
+            : null,
         }
       : null,
   };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sparkle-design-cli",
-  "version": "2.0.7-beta.9",
+  "version": "2.0.7-rc.3",
   "description": "Sparkle Design CLI — プロジェクトセットアップ、CSS・フォント生成、アンチパターン検査、AI エージェント（Claude Code / Cursor / Codex）向けのガードと hook 設定まで一括で行う sparkle-design 公式 CLI。",
   "publishConfig": {
     "registry": "https://registry.npmjs.org",